安全通信网络技术分析
可信验证-终端入网设备安全
常规的网络安全产品能够解决信息系统一部分安全问题，但客户端的安全一直是整个网络信息系统安全的一个薄弱环节。据相关机构调查，超过85%的安全威胁来自企事业单位内部。而造成这些安全隐患的原因大大概有一下几点：
- 1 部分终端未安装杀毒软件或者安装免费安装软件
- 2 不及时更新操作系统补丁
- 3 下载或者点击不安全信息
- 4随意插入不安全移动存储设备
为解决以上问题，综合考虑之后，我觉得应该从以下几点出发，建立完整的客户端入网安全机制。如图 2.3所示，从客户端本身系统的安全，到准入入网以及终端管控平台，从而全面管控内网主机安全。
- 1 解决病毒木马的问题
全覆盖安装商用杀毒软件，并且定时进行更新。
- 2解决漏洞修复不及时的问题
目前大多数商用杀毒软件都具有下发更新补丁的功能，只要让管理人员及时下发客户端更新任务实现自动更新。值得注意的是更新的时间不要和办公时间冲突，导致网络拥堵情况出现。
- 3解决终端上网管控要求
采用准入管控设备和客户端杀毒软件进行联动，从而将入网实名制，阻止不安全链接的打开以及不安全文件的下载。
- 4 解决移动存储设备随意使用问题
对移动存储设备进行统一的管理，保证终端与移动存储介质进行数据交换和共享过程中的信息安全要求。将移动存储介质的身份注册、网内终端授权管理、移动介质挂失管理、外出管理和终端设备例外等
网络架构-物理隔离网络结构
物理隔离是指内部网不直接或间接地连接公共网。物理隔离的目的是保护路由器、交换机、服务器等硬件实体设备和通信数据链路免受自然灾害、人为破坏和电磁波窃听攻击。在工程实施中的物理隔离网络一般采用两套网络拓扑建设，第一种是内网网络拓扑建设，第二种是外网网络拓扑建设，其优点也就是业界公认的网络攻击抗性比较强，可以抵御大多数黑客工具的攻击，但是建设成本高，内外网数据传输不易也是其不容忽视的缺点。如图所示为某市医院的内网网络拓扑示意图，因为不存在与外部网络的接触，所以其安全性能较强，黑客突破网络的突破点智能是底层接入设备和网络管理人员，以及网络管理设备的底层病毒注入。
如图 2.4所示XX医院网络拓扑图为外网拓扑连接示意图，这种既需要连接内网有需要连接外网的网络环境对于底层介入设备的网络连接是一个普遍问题。就技术层面而言，解决这个问题有一下三种网络隔离技术：
- 1 单主板安全隔离计算机:其核心技术是双硬盘技术，将内外网络转换功能做入BIOS中，并将插槽也分为内网和外网。
- 2 隔离卡技术：其核心技术是双硬盘技术，启动外网是关闭内网硬盘，启动内外关闭外网硬盘，使得两个网络和硬盘物理隔离。
- 3 网络隔离卡：其核心技术是以物理的方式将一台PC虚拟为两部电脑，实现隔离。
在现实中一般采用三种方案解决这个问题，其一是直接采购双网卡底层客户端，两个网卡分别连接RJ45外网线和内网线。其二采用技术手段—增加静态路由，也就是说为客户端指明当需要访问内网外网路由应该去哪里，从而解决网络接入问题。其三是分两台电脑，一台连接内网一台连接外网。图 2.5是xx医院外网网络连接拓扑图，核心交换一下设备连接和内网拓扑图基本一致，核心以上，因为需要连接外网数据，采用安全设备进行流量清洗以及流量净化，为医院系统与互联网数据交换做保障。
网络架构-逻辑隔离网络结构
逻辑隔离主要通过逻辑隔离器实现，逻辑隔离器对照现实网络安全产品就是网闸。即物理连接，逻辑隔离的一种硬件安全设备，一般使用协议转换、数据格式剥离和数据流控制的方法，在两个逻辑隔离区域中传输数据，并且传输的方向是可控状态下的单向，不能在两个网络之间直接进行数据交换。如图 2.6所示两台服务器之间摆渡数据。
在实际的网络建设中，大多是采用的是逻辑隔离网络结构，这样符合大多数企业网络建设成本低、内外网交互频繁和数据交互量大的网络需求。但同时为了解决网络安全的问题，我们引入了网闸和前置机的概念，解决外网访问内网的需求，从而解决安全问题。如图 2.7某市第二人民医院网络拓扑图所示，在内网和外网之间使用网闸或者其他逻辑隔离器设备实现两个网络的隔离，从而保证内网不收外网不安全数据的侵害。
两种网络结构差异研究分析
- 1、定义不同
逻辑隔离主要通过逻辑隔离器实现，也就是说物理上是连接的，但是逻辑上是分割的技术手段。
物理隔离，是指采用物理方法将内网与外网隔离从而避免入侵或信息泄露的风险的技术手段。
- 2、作用不同
物理隔离：一般作用于国家保密单位、研究机构等数据机密性较高的组织，为防止公共信息网络的攻击，确保信息的安全，实行物理隔离.
逻辑隔离： 作用于不同安全级别的网络之间，有着物理上的连接，但互相之间不能相互访问，只有指定的协议才能通过，符合逻辑隔离的国家标准定义，因此属于逻辑隔离的范畴。
- 3、特点不同
物理隔离：为信息网络提供了更高层次的安全防护能力，将网络的抗攻击性，防信息外泄能力提升较大几倍。
逻辑隔离：在保证数据比较安全的前提下，使得两个网络之间的数据进行有效的传输。